Organisaatiolla on prosessi, jonka avulla ohjelmisto tarkastetaan ja hyväksytään ennen asennusta tai käyttöä. Prosessi sisältää ainakin seuraavat asiat

• Arvioi rajoitettu hyväksyntä: Tarkistetaan, onko ohjelmisto hyväksytty tiettyihin käyttötapauksiin tai rooleihin organisaatiossa.
• Tarkistetaan vaatimustenmukaisuus: Varmistetaan, että ohjelmisto täyttää organisaation tietoturvavaatimukset.
• Tarkistetaan ohjelmiston käyttöoikeudet ja lisensointi: Varmistetaan, että ohjelmistolla on asianmukainen lisenssi aiottua käyttöä varten.
• Arvioi lähde ja maine: Arvioi ohjelmiston toimittajan tai lähteen uskottavuus ja maine.

Tähän prosessiin olisi sisällyttävä myös erityistarkoituksiin käytettävien ohjelmistojen, kuten ylläpitotyökalujen, valinta.

Organisaatio varmistaa, että hyväksyttyjä ohjelmistoja tuetaan:

• ohjelmistoluettelon säännöllinen tarkistaminen nimeämällä vain toimittajan tukemat ohjelmistot valtuutetuiksi.
• dokumentoimalla poikkeukset lieventävine kontrolleineen
• riskien hyväksyminen tarvittavien tukemattomien ohjelmistojen osalta
• tunnistamalla luvattomat ohjelmistot ilman poikkeuksia
• ottamalla käyttöön riskinhallintatoimenpiteitä, kuten verkon segmentointi ja tehostettu valvonta.

Organisaation tulisi:

• Tunnistaa ja luetella hallinnoitavat ohjelmistotyypit, mukaan lukien laiteohjelmistot, käyttöjärjestelmät, sovellukset, kirjastot ja laiteajurit.
• Varmistaa, että hallinnoitavien ohjelmistojen arkistoja luodaan ja ylläpidetään.
• Toteuttaa turvatoimet, joilla suojataan ohjelmistovarastot luvattomalta käytöltä ja manipuloinnilta.
• Suorittaa säännöllisiä tarkistuksia varmistaakseen, että kaikki käytössä olevat ohjelmistot pysyvät hyväksyttyinä ja täyttävät organisaation turvallisuus- ja toimintastandardit.
• Pidä päivitettyä rekisteriä kaikista ohjelmistoversioista ja niiden korjaustasoista sen varmistamiseksi, että kaikki ohjelmistot ovat ajan tasalla ja turvallisia.

Laitteissa voidaan käyttää vain organisaation hyväksymiä ohjelmistoja. Organisaation tulisi:

• Hyväksyä aktiivisesti ohjelmistot ennen niiden käyttöönottoa.
• Ylläpitää luetteloa hyväksytyistä ohjelmistoista
• Estää käyttäjiä asentamasta hyväksymättömiä ohjelmistoja.
• Luoda luettelo erikseen sallituista laajennuksista
• Luvattomat laajennukset olisi estettävä.

Organisaation täytyy huolehtia, että sen lisensoimat ohjelmistot:

• ovat lisensoituja ja aktiivisesti tuettuja
• poistetaan laitteista, kun ne eivät ole enään tuettuja
• on säädetty päivittymään automaattisesti, kun mahdollista

Ohjelmistojen hallinnoimattomat asennukset tietokoneille voivat johtaa haavoittuvuuksiin ja tietoturvahäiriöihin.

Organisaation olisi määriteltävä, minkä tyyppisiä ohjelmistoja tai päivityksiä kukin käyttäjä voi asentaa. Ohjeet voivat sisältää mm. seuraavia reunaviivoja:

• vain erikseen nimetyt henkilöt saavat asentaa laitteille uusia ohjelmia
• aiemmin erikseen turvalliseksi määriteltyjä ohjelmia saa asentaa kuka tahansa
• tiettyjen ohjelmistojen käyttö voi olla mahdotonta kaikille
• olemassa olevien ohjelmistojen päivitykset ja tietoturvakorjaukset ovat sallittuja asentaa kaikille